De la empresa al mapa de Azure

La tentación es dibujar el árbol de Azure igual que el organigrama: un grupo por área, una suscripción por jefe. Funciona mal, porque lo que se ata a un grupo de administración son controles (políticas, asignaciones de acceso), y los controles dependen de la regulación, la criticidad y la red, no de quién firma la nómina. Dos áreas distintas que manejan datos personales de productores quizá necesitan los mismos controles; un área con un entorno de pruebas y uno de producción necesita controles distintos para cada uno.

Abre organigrama.txt y reglas-de-la-casa.txt y compara lo que cada documento ordena.

La suscripción es la frontera natural de un entorno: tiene sus propios límites, su facturación, sus permisos y su registro de actividad. Mezclar producción y pruebas en la misma suscripción obliga a dar a los desarrolladores acceso a donde hay datos reales, o a negárselo a las pruebas. La regla 1 de la casa lo prohíbe.

Abre inventario-actual.txt y revisa la columna del entorno.

Una suscripción sin dueño es una suscripción sin responsable: nadie decide si lo que hay dentro debe seguir existiendo, nadie recibe los avisos de costo ni de seguridad, y nadie aprueba un cambio. Las pruebas olvidadas acumulan accesos y recursos que nadie vigila. La regla 2 exige un dueño con nombre y cargo.

Una revisión de seguridad sin autorización escrita no es una revisión, sea cual sea la intención. La autorización fija qué se hace (aquí, lectura), qué suscripciones entran, quién la firma y entre qué fechas vale. Fuera de esa ventana no se mira nada, aunque el acceso técnico siga abierto. Abre autorizacion.txt y comprueba el periodo.

El alcance no es el inventario entero. La carta dice «todas las del inventario actual, salvo» una lista de excepciones, cada una con su razón: una pertenece a un tercero que debe autorizar por su cuenta, otra está bajo una auditoría externa. Revisar una suscripción excluida sería salirse de la autorización aunque técnicamente sea posible.

Cuenta las suscripciones del inventario y resta las excluidas por la carta.